Administratorrechte im GMP-System kontrollieren

1. Administrative Wirkung statt Rollentitel bewerten

Ein Konto mit der Bezeichnung „Support“ kann mehr Einfluss haben als ein sogenannter Administrator mit eng begrenzten Aufgaben. Erfassen Sie daher, was die Person tatsächlich ausführen kann: Benutzer anlegen, Rollen vergeben, Regeln ändern, Aufzeichnungen bearbeiten oder Protokollierung beeinflussen.

Der hier betrachtete Rahmen ist Humanarzneimittel-GMP auf Grundlage des weiterhin gelisteten Annex 11 Januar 2011. Dessen Sicherheitsabschnitt knüpft die Kontrolldichte an die Kritikalität. Daraus folgt keine universelle technische Produktvorgabe. Die konkrete Berechtigung muss zur Aufgabe passen und darf nicht allein wegen einer vertrauenswürdigen Person unkontrolliert bleiben.

Quellen: [1] [4]

2. Alle relevanten Zugriffsebenen sichtbar machen

Eine restriktive Anwendungsrolle kann wirkungslos werden, wenn dieselbe Person die Datenbank direkt ändern oder eine ungeschützte Ergebnisdatei ersetzen kann. Berücksichtigen Sie deshalb Anwendung, Betriebssystem, Datenbank, Speicherung und gegebenenfalls Identitätsverwaltung. Auch externe Dienstleister können über einen anderen Zugang weitreichende Befugnisse besitzen.

Beschreiben Sie die wesentlichen Einflusswege gemeinsam mit IT und Prozessverantwortung. Es geht nicht darum, jede technische Einzelberechtigung in eine lange SOP zu kopieren. Benötigt wird eine verständliche Zuordnung zwischen erlaubter Tätigkeit, wirksamem Zugriff und Kontrolle. Technische Detailstände können nachvollziehbar referenziert werden.

Quellen: [1] [3]

3. Befugnis, Auftrag und Nachweis zusammenführen

Die folgende eigene Matrix trennt eine technische Möglichkeit vom fachlich erlaubten Einsatz. Ein Betriebssystemadministrator soll beispielsweise eine genehmigte Wartung durchführen können, dadurch aber keine eigene Materialentscheidung erhalten. Welche Tätigkeiten vorher genehmigt oder im Notfall nach einem geregelten Verfahren bearbeitet werden, bestimmt Ihr tatsächlicher Prozess.

Beachten Sie insbesondere Rechte, mit denen Schutzmaßnahmen selbst geändert werden können. Wenn eine Protokollierung administrativ abschaltbar ist, muss diese Möglichkeit in der Kontrollbewertung berücksichtigt werden. Ein Protokoll, das die ausführende Person unbemerkt ändern kann, ist als alleiniger Tätigkeitsnachweis entsprechend begrenzt.

Quellen: [1] [3]

4. Kleine Teams ohne pauschale Ausnahme organisieren

PIC/S PI 041-1 § 9.5 beschreibt als Regelfall eine Unabhängigkeit der Systemadministration von Personen mit Interesse am Datenergebnis. Für kleinere Organisationen behandelt der Leitfaden unter Bedingungen auch eine benannte Person aus Qualität oder Produktion mit Administrationszugriff. Routinearbeit soll dann mit einem zweiten eingeschränkten Zugang erfolgen; administrative Tätigkeiten werden im Qualitätssystem aufgezeichnet und genehmigt.

Diese Passage ist keine generelle Freigabe beliebiger Rollenkombinationen. Prüfen Sie, ob die gewählte Trennung tatsächlich funktioniert und wer Tätigkeiten sachkundig beurteilen kann. Eine zweite Unterschrift derselben Person oder ein rein formaler Blick auf einen unverständlichen Bericht schafft keine belastbare unabhängige Kontrolle.

Quellen: [3] [1]

5. Illustratives Beispiel: Rollenwechsel mit zwei Konten

Angenommen, eine benannte Person unterstützt in einem kleinen Betrieb sowohl die Laborroutine als auch die Administration einer Anwendung. Im konstruierten Modell hat sie ein Routinekonto R-17 und ein privilegiertes Konto A-17. A-17 darf genehmigte Rollenänderungen umsetzen; Messauswertungen erfolgen ausschließlich über R-17. Eine andere sachkundige Person bewertet den administrativen Tätigkeitsnachweis.

Das vorab definierte Soll prüft nicht nur, ob beide Konten existieren. Entscheidend sind ihre tatsächlichen Wirkungen und die Nachvollziehbarkeit einer genehmigten Änderung. Das Beispiel ist keine Herstellerfunktion und kein Kundentest. Falls eine Anwendung diese Trennung nicht unterstützt, muss die verbleibende Lücke ausdrücklich bewertet werden.

Quellen: [3] [1]

6. Vergabe und Entzug bis zur tatsächlichen Wirkung prüfen

Ein genehmigter Antrag ist noch keine korrekt konfigurierte Berechtigung. Vergleichen Sie die beauftragte Rolle mit dem tatsächlichen Zugriff. Berücksichtigen Sie Gruppenmitgliedschaften, lokale Konten und andere Wege, über die dieselbe Person Rechte erhalten kann. Bei Ausscheiden oder Aufgabenwechsel muss auch die Aufhebung wirksam werden.

Die erneute Anmeldung kann andere Rechte zeigen als eine bereits laufende Sitzung. Das ist eine technische Eigenschaft, die im jeweiligen System zu beurteilen ist, keine pauschale Aussage über ein bestimmtes Produkt. Definieren Sie, wie Entzug und verbleibende Zugriffsmöglichkeiten geprüft werden und wer bei Widersprüchen handelt.

Quellen: [1] [3]

7. Notfallzugriffe und Tätigkeitsprüfung vorbereiten

Bei einer Störung kann ein besonderer administrativer Zugang erforderlich sein. Ein geregelter Notfallweg sollte Zweck, verantwortliche Entscheidung, Identifizierbarkeit, zulässige Tätigkeit und anschließende Bewertung beschreiben. Er darf nicht zum bequemeren Ersatz für den normalen Änderungsprozess werden.

Legen Sie außerdem fest, welche Aufzeichnungen zur Tätigkeitsprüfung benötigt werden. Eine Anmeldeliste zeigt, dass ein Zugang genutzt wurde, aber nicht zwingend, welche relevante Konfiguration verändert wurde. Verbinden Sie geeignete technische Informationen mit Auftrag und Ergebnis. Häufigkeit und Tiefe richten sich nach Risiko und Anlass; eine pauschale jährliche Sichtung ist nicht automatisch ausreichend.

Quellen: [1] [3] [2]

8. Einen konkreten administrativen Ablauf bewerten

Wählen Sie zunächst eine folgenreiche Tätigkeit, etwa Rollenvergabe oder Änderung eines kritischen Parameters. Lassen Sie sich den normalen Weg und einen Notfallweg erklären. So erkennen Sie eher widersprüchliche Befugnisse als durch einen abstrakten Vergleich von Rollennamen.

QA, IT und Systemverantwortung sollten gemeinsam entscheiden, welche Lücken technisch geschlossen werden und wo ergänzende Verfahren nötig sind. Eine organisatorische Kontrolle muss praktisch durchführbar und wirksam sein. Bleibt eine wesentliche Einflussmöglichkeit unbeherrscht, gehört sie als offene Frage in die Bewertung und nicht als vermeintlich gelöst in die SOP.

• Administrative Einflusswege über alle relevanten Schichten erfasst.
• Erlaubte Tätigkeiten von bloß möglichen Zugriffen unterschieden.
• Routine- und Administrationsnutzung passend getrennt.
• Vergabe, Änderung und Entzug mit tatsächlichen Rechten abgeglichen.
• Notfallweg und sachkundige Tätigkeitsbewertung festgelegt.
• Grenzen technischer und organisatorischer Kontrollen sichtbar dokumentiert.

Quellen: [1] [3]